# Opération Triangulation

L'opération Triangulation est une cyberattaque ciblée sur les appareils iOS menée à l'aide d'une chaîne de quatre vulnérabilités de type « zero-day ». Révélée pour la première fois en juin 2023, elle se distingue par sa complexité technique sans précédent parmi les attaques iOS. Le nombre de victimes est estimé à plusieurs milliers.

## Objectifs de l'attaque

L’attaque a pour but d'espionner ses cibles : extraire des messages et des mots de passe des appareils, enregistrer des conversations et suivre la géolocalisation. Le nombre exact de victimes est inconnu en raison de la grande discrétion des attaquants. Certaines sources estiment à plusieurs milliers le nombre de victimes, y compris des organisations commerciales, gouvernementales et diplomatiques de la Fédération de Russie et ses représentations à l'étranger.

## Chronologie des événements

1er juin 2023 : Kaspersky annonce la découverte de traces d'un nouveau type de logiciel malveillant sur les appareils iOS de ses employés. Conçu pour l'espionnage de ses cibles, ce malware très furtif n'est détecté que par des échanges de données inhabituels avec les iPhones infectés. Les enquêteurs ont trouvé des traces des premières infections datant de 2019. L'attaque est baptisée « Opération Triangulation ».
Un outil appelé triangle_check est publié pour permettre aux utilisateurs de vérifier si leurs appareils iOS ont été compromis et de déterminer s'ils ont été victimes de l'attaque.
21 juin 2023 : Kaspersky publie des recherches sur l'implant TriangleDB utilisé dans l'attaque$^,$.
Le même jour, Apple publie des mises à jour pour iOS 15.x et 16.x, corrigeant deux vulnérabilités utilisées dans l'attaque : CVE-2023-32434 dans le noyau d'iOS et CVE-2023-32435 dans le moteur de navigation WebKit. Ces vulnérabilités permettent d'infecter silencieusement les iPhones en contournant les systèmes de sécurité d'iOS$^,$.
24 juillet 2023 : Apple publie des mises à jour pour iOS 15.x et 16.x, corrigeant la vulnérabilité CVE-2023-38606 dans le noyau iOS et CVE-2023-41990 dans le mécanisme de traitement des polices FontParser. Ces vulnérabilités faisaient également partie de la chaîne d'infection de l'opération Triangulation$^,$.
23 octobre 2023 : Kaspersky publie des informations sur la validation en plusieurs étapes des victimes potentielles par les attaquants. Ce processus de filtrage permet aux attaquants d'infecter uniquement les cibles visées et d'échapper aux chercheurs en sécurité.
26 octobre 2023 : Lors du Security Analyst Summit, un rapport d'enquête est présenté sur l'opération Triangulation et les efforts déployés pour identifier tous les composants de la chaîne d'infection.
27 décembre 2023 : Au Chaos Communication Congress, un rapport est présenté sur la chaîne d'attaque complète et les quatre vulnérabilités utilisées lors de l'attaque, y compris des caractéristiques non documentées des processeurs Apple$^,$.
28 décembre 2023 : Le pirate informatique Hector Martin apprend l'utilisation de fonctions non documentées des processeurs Apple dans le cadre de l'opération Triangulation et partage des informations connues sur leurs mécanismes et objectifs possibles.

## Détails techniques

L'opération Triangulation est d'une complexité technique sans précédent pour les attaques iOS : la chaîne d'infection se compose de 14 étapes, utilisant quatre vulnérabilités « zero-day » et des caractéristiques matérielles non documentées des processeurs Apple. Toutes les attaques connues ont visé les versions d'iOS jusqu'à 15.7.x, mais les techniques sont efficaces jusqu'à iOS 16.2.
Lorsqu'un iMessage spécialement conçu est reçu sur un iPhone, le code malveillant est lancé. Ce message est invisible pour l'utilisateur. Des composants supplémentaires sont ensuite téléchargés à partir des serveurs de commande de l'opération Triangulation, ce qui permet d'obtenir des privilèges élevés sur l'appareil et de déployer un logiciel espion offrant un accès étendu au contenu et aux fonctions de l'appareil.

## Infection de l'appareil

L'infection initiale est réalisée par le biais d'un iMessage invisible. La pièce jointe de l'iMessage malveillant, présentée sous la forme d'un fichier .watchface (un design d'écran de montre connectée - essentiellement un fichier ZIP avec un PDF intégré), exécute un code ouvrant Safari en arrière-plan, lequel charge ensuite les composants suivants de la chaîne d'infection à partir d'une page web. La page web contient un script de validation qui analyse les paramètres du smartphone infecté et décide de poursuivre ou non l'infection. La technologie canvas fingerprinting, s'affichant sous la forme d'un triangle sur la page web, est utilisée pour identifier les victimes de manière unique. Ce triangle donne son nom à l'ensemble de la campagne.
L'attaque exploite les vulnérabilités zero-day CVE-2023-41990, CVE-2023-32434 et CVE-2023-38606 dans ces étapes. Après avoir passé un contrôle, le script de la page web exploite en outre la vulnérabilité CVE-2023-32435 et charge un code binaire dans la mémoire de l'appareil, ce qui lui permet d'obtenir les privilèges root et d'effectuer un contrôle plus détaillé du smartphone afin de répondre aux intérêts des attaquants. Ce validateur binaire supprime également les traces de l'iMessage reçu et charge le principal implant malveillant, TriangleDB. Le logiciel malveillant ne fonctionne que dans la mémoire du smartphone, il est donc effacé après un redémarrage. Les attaquants peuvent alors renvoyer l'iMessage et réinfecter la victime.

## Fonctionnalité non documentée d'Apple

Pour contourner les protections de la mémoire dans les dernières générations de processeurs Apple (A12-A16), l'exploit pour la vulnérabilité du noyau CVE-2023-38606 utilise des caractéristiques matérielles non documentées des processeurs. L'exploit écrit dans les registres MMIO, qui ne sont pas décrits dans la documentation et ne sont pas utilisés par les applications iOS ou le système d'exploitation iOS lui-même. Par conséquent, le code de l'exploit peut modifier la zone la de mémoire du noyau d'iOS protégée par des composants physiques. Les chercheurs de Kaspersky ont suggéré que ce mécanisme a probablement été créé pour déboguer le processeur lui-même.
Certains experts estiment que « très peu de personnes, voire aucune, en dehors d'Apple et des fournisseurs de puces comme ARM Holdings » pourraient être au courant de cette fonctionnalité.
Hector Martin a décrit un mécanisme d'exploitation possible basé sur l'écriture directe dans le cache de la mémoire, qui permet de contourner ses mécanismes de protection dans certains cas$^,$.

## Fonctions de l'implant TriangleDB

Le logiciel malveillant TriangleDB a une structure modulaire, de sorte que ses fonctions peuvent être étendues en téléchargeant des modules supplémentaires à partir du serveur. La version de base peut télécharger des fichiers de l'appareil vers le serveur des attaquants, extraire des données du gestionnaire de mot de passe Keychain, suivre la géolocalisation de la victime et modifier des fichiers et des processus sur le smartphone.
Les modules supplémentaires connus permettent l'enregistrement prolongé du microphone (y compris en mode avion), l'exécution de requêtes dans les bases de données stockées sur l'appareil et le vol de chats sur WhatsApp et Telegram.

## Méthodes de détection et de suppression
### Mises à jour bloquées

Un signe révélateur de l'infection d'un smartphone par le logiciel malveillant Operation Triangulation est l'impossibilité de mettre à jour iOS vers une version plus récente. Cependant, certains appareils infectés ont continué à se mettre à jour normalement.

### Analyse des sauvegardes iTunes

Des traces d'infection peuvent être trouvées dans les fichiers système de l'iPhone. Comme ces fichiers ne sont pas accessibles sur l'appareil iOS lui-même, une sauvegarde de l'iPhone est effectuée via iTunes sur un ordinateur, puis analysée. Une analyse est effectuée au moyen de l’utilitaire triangle_check.

### Analyse des connexions réseau

Le code malveillant de l'opération Triangulation établit des connexions avec les serveurs des attaquants, et une liste a été rendue publique.

### Suppression de l'infection

Pour les appareils entièrement compromis, les chercheurs recommandent la séquence d'actions suivante pour éviter une réinfection : réinitialisation d'usine, désactivation d'iMessage et mise à jour d'iOS vers une version plus récente.

## Attribution

Kaspersky n'a fait aucune déclaration officielle sur l'origine de l'attaque, ni ne l'a attribuée à un groupe de pirates ou à un pays. Toutefois, le 1er juin 2023, le Service fédéral de sécurité russe (FSB) a publié un communiqué faisant état de la découverte d'un logiciel malveillant affectant les téléphones portables Apple, utilisant des « vulnérabilités logicielles fournies par le fabricant ». Le FSB a également accusé directement Apple de collaborer avec la NSA. Le communiqué indique que plusieurs milliers de téléphones ont été infectés, y compris en dehors de la Russie, dans les pays de l'OTAN, dans l'espace post-soviétique, en Israël, en Syrie et en Chine.
Apple a publié une déclaration le même jour, niant ces accusations.
Il convient de noter que le FSB et Kaspersky ont fait des déclarations indépendantes. Cependant, certains experts pensent que les deux font référence à l'opération Triangulation$^,$.

## Conséquences

Apple a publiquement démenti les accusations de collaboration avec des agences de renseignement en vue d'implanter des portes dérobées.
La société a publié plusieurs mises à jour pour corriger les vulnérabilités d'iOS visées par l'opération Triangulation.
En juillet-août 2023, plusieurs organisations gouvernementales et commerciales russes, notamment le ministère du développement numérique, le ministère de l'industrie et du commerce, le ministère des transports, le service fédéral des impôts et les chemins de fer font savoir qu'elles interdisent l'utilisation des smartphones et tablettes Apple à des fins professionnelles. Plus tard en 2023, la Banque centrale et le ministère des situations d'urgence prennent la même décision.
En septembre 2023, le gouvernement chinois décide d'étendre l'interdiction de l'utilisation de l'iPhone non seulement aux fonctionnaires, mais aussi aux entreprises contrôlées par l'État.
En 2024, le ministère sud-coréen de la défense nationale a annoncé l'interdiction des iPhones pour des raisons de sécurité, tandis que les téléphones Android n'ont pas été interdits.

## Réactions publiques et médiatiques

Le code d'exploitation de l'opération Triangulation a été qualifié de plus complexe de l'histoire.
Les caractéristiques les plus remarquables de l'attaque sont la connaissance par les attaquants des capacités non documentées des puces Apple et l'utilisation de quatre vulnérabilités de type « zero-day » dans une seule attaque.
Le cryptographe Bruce Schneier a décrit l'attaque comme étant « d'une sophistication absolument folle » et « une affaire d'État-nation ».
Elon Musk a également exprimé son intérêt pour la complexité de l'attaque et les méthodes de défense possibles.